監査計画とは？

監査計画の意味

監査の目的・対象範囲・重点項目・実施手続・日程・要員をあらかじめ定める文書。中長期計画と個別計画に分かれ、限られた工数をリスクの大きい領域へ配分するリスクアプローチで作成する。予備調査の結果を受けて本調査前に見直すことが前提。

監査計画の具体例

外部公開Webの改ざんリスクが高いと判断すれば、WAF運用と脆弱性管理を重点項目に置き、証拠として設定ファイル、検知ログ、パッチ適用記録を入手する計画を立てる。工数が不足するなら対象を絞り、監査意見の及ぶ範囲もそれに合わせて限定する。

監査計画は試験でどう引っ掛けられる？

「承認された計画は変更してはならない」は誤りで、予備調査で前提が変われば改訂する。また計画の承認者は被監査部門長ではなく、監査を委嘱した経営者や取締役会である点が入れ替えられやすい。

監査計画と関連する用語

• システム監査基準・システム管理基準
• 監査証拠
• 試査と精査

監査計画が出た過去問

• システム監査基準(平成30年)に基づくシステム監査において,リスクに基づく監査計画の策定(リスクアプローチ)で考慮すべき事項として,適切なものはどれか。

  正解：情報システムリスクは常に一定ではないことから,情報システムリスクの特性の変化及び変化がもたらす影響に留意する。

  要点：リスクアプローチはリスクの変動を踏まえ資源を重点配分する

  リスクアプローチは、リスクの大きい領域に監査資源を重点配分する考え方である。情報システムリスクは技術や事業環境の変化とともに常に変動するため、その特性の変化と影響に留意して監査計画を見直す必要がある。よってエが適切。監査リスクは低減はできても完全な回避はできず、一律の資源配分はリスクアプローチの考え方に反する。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）

• システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切なものはどれか。

  正解：組織体内外の環境変化によってリスクが相当程度変化した場合には,監査計画の見直しを検討し,必要に応じて変更する。

  要点：リスクが大きく変われば監査計画を見直し必要なら変更する

  リスク・アプローチによる監査計画は、リスクの大きい領域に重点的に資源を割り当てる考え方に立つ。組織の内外で環境が変わりリスクの状況が相当程度変化した場合には、当初の前提が崩れるため計画を見直し、必要に応じて対象や時期、範囲を変更する。また監査リスクは合理的な水準まで低減するものであって、完全に排除することはできない点も押さえておきたい。

  出典：令和7年度 秋期 情報処理安全確保支援士試験 am2 問25（IPA）